Unifi CloudKey Gen 2 上 Docker 容器网络问题：不指定 --net host 则无法运行

看起来你把老CloudKey改造成Linux盒子的思路挺棒的，不过遇到的这个Docker网络问题确实挺头疼的。结合你描述的现象——指定--net host且关闭nginx就能正常运行，不指定就报错，大概率是Docker默认网络和CloudKey自带的系统服务（尤其是nginx）或者网络规则冲突了。我整理了几个实用的排查和解决方向：

1. 先排查端口占用情况 #

首先得搞清楚你要运行的容器需要用到哪些端口，然后看看这些端口是不是被CloudKey上的其他服务占了（不止是nginx哦）。

• 用这条命令查看所有被占用的端口：

  netstat -tulpn
  

• 重点找容器需要绑定的端口，如果发现除了nginx之外还有其他服务占用，要么停止那个服务，要么修改容器的端口映射（比如把容器的80端口映射到主机的8080：-p 8080:80）

2. 试试自定义Docker桥接网络 #

CloudKey的系统可能对Docker默认的bridge网络（网段一般是172.17.0.0/16）有特殊限制，换个自定义网段说不定就能解决：

• 创建一个自定义桥接网络：

  docker network create --driver bridge --subnet 192.168.100.0/24 custom-cloudkey-bridge
  

• 用这个自定义网络启动容器：

  docker run --network custom-cloudkey-bridge -p 主机端口:容器端口 你的镜像名称
  

这样能避开默认网段和CloudKey本地网络、Unifi管理网段的冲突。

3. 不用关闭nginx也能解决端口冲突 #

如果不想关掉Unifi的管理界面（毕竟CloudKey本来的功能也挺有用），可以从两方面调整：

• 修改nginx监听端口：找到nginx的Unifi配置文件（一般在/etc/nginx/sites-available/unifi或者类似路径），把里面监听的80/443改成其他空闲端口（比如8080/8443），然后重启nginx：

  systemctl restart nginx
  

  之后你可以用http://你的CloudKeyIP:8080访问Unifi管理界面。
• 修改容器端口映射：启动容器时把端口映射到主机的其他空闲端口，比如：

  docker run -p 8081:80 -p 8444:443 你的镜像名称
  

4. 检查CloudKey的iptables规则 #

Unifi系统自带的iptables规则可能限制了Docker桥接网络的流量，你可以排查一下：

• 查看当前iptables规则：

  iptables -L -n
  

• 如果发现有针对Docker默认网段（172.17.0.0/16）的拒绝规则，添加允许规则：

  iptables -A INPUT -s 172.17.0.0/16 -j ACCEPT
  iptables -A FORWARD -s 172.17.0.0/16 -j ACCEPT
  

• 修改完后记得保存规则，避免重启后失效：

  iptables-save > /etc/iptables/rules.v4
  

5. 更新Docker和系统组件 #

你当前用的Docker版本是27.3.1，虽然不算太旧，但有时候兼容性问题也会导致这类奇怪的网络故障，试试更新到最新稳定版，同时更新系统包：

apt update && apt upgrade -y
apt install --only-upgrade docker-ce docker-ce-cli containerd.io

备注：内容来源于stack exchange，提问作者JerseyDevel